1. 01

   Predmet, účel a pokyny

   1.1Sprostredkovateľ spracúva pre Prevádzkovateľa osobné údaje v rozsahu nutnom na poskytovanie Aplikácie: vedenie evidenčnej a domovej knihy, príprava a odoslanie hlásení ubytovaných cudzincov Polícii ČR (UbyPort) pod prístupovými údajmi Prevádzkovateľa, podklady a hlásenia k miestnemu poplatku, online check-in Hostí vrátane elektronického podpisu, porovnanie mien Hostí so sankčnými zoznamami EÚ a ČR, evidencia rezervácií, odosielanie správ Hosťom na pokyn Prevádzkovateľa, plánovanie upratovania a evidencia prevádzky.

   1.2Sprostredkovateľ spracúva údaje výhradne na základe doložených pokynov Prevádzkovateľa. Pokynom je Hlavná zmluva, táto zmluva a nastavenia a úkony Prevádzkovateľa v Aplikácii (vloženie údajov, zapnutie automatického odoslania, spustenie odoslania, zriadenie napojenia, nastavenie doby uchovávania, prizvanie osôb). Iné pokyny Prevádzkovateľ zasiela písomne na info@ubyo.cz; Sprostredkovateľ nie je povinný splniť pokyn, ktorý ide nad rámec funkcií Aplikácie, a môže zaň účtovať odmenu podľa čl. 8.

   1.3Sprostredkovateľ Prevádzkovateľa upozorní, ak sa domnieva, že pokyn porušuje GDPR alebo iný právny predpis; do vyjasnenia môže vykonanie pokynu pozastaviť.

   1.4Počas uzamknutia Účtu po skúšobnom období alebo Blokácie pre omeškanie s platbou (čl. 4.3 a 5.5 Obchodných podmienok) Sprostredkovateľ spracúvanie pozastaví: údaje iba uchováva a umožní Prevádzkovateľovi ich export; formuláre pre Hostí, portály a automatické odosielanie hlásení nebežia. Zákonné povinnosti voči Hosťom a úradom plní Prevádzkovateľ počas tejto doby iným spôsobom. Ak sa Blokácia týka len Apartmánov jedného Právneho subjektu (čl. 5.5 Obchodných podmienok), platí prvá veta len pre spracúvanie týkajúce sa týchto Apartmánov.

2. 02

   Povaha a rozsah spracúvania

   Dotknuté osoby: Hostia Prevádzkovateľa a osoby ubytované s nimi (vrátane detí); osoby prizvané Prevádzkovateľom do Aplikácie (Manažéri, členovia upratovacieho tímu); kontaktné osoby Prevádzkovateľa.

   Kategórie údajov: identifikačné (meno, priezvisko, dátum narodenia, štátne občianstvo, adresa bydliska); z cestovného dokladu (druh a číslo dokladu, štát vydania, číslo a druh víza, účel pobytu); o pobyte (Apartmán, termín, počet osôb, platforma a číslo rezervácie, cena rezervácie, výška poplatku, dôvod oslobodenia); kontaktné (e-mail, telefón, jazyk, obsah správ); vlastnoručný podpis Hosťa (obraz) a čas vyplnenia check-inu; výsledok porovnania so sankčnými zoznamami; pri prizvaných osobách meno, e-mail, telefón a záznamy o prihlásení.

   Osobitné kategórie údajov (čl. 9 GDPR) sa nespracúvajú; Prevádzkovateľ sa zaväzuje nevkladať ich do Aplikácie, rovnako ako rodné čísla a kópie dokladov. Ak ich napriek tomu vloží, zodpovedá za to sám.

   Operácie: ukladanie, usporiadanie, zobrazenie Prevádzkovateľovi a jeho prizvaným osobám, automatické porovnanie so sankčnými zoznamami, prenos Polícii ČR a obci na pokyn Prevádzkovateľa, odoslanie správ Hosťom na pokyn Prevádzkovateľa, zálohovanie, anonymizácia, výmaz.

   Doba: počas trvania Hlavnej zmluvy a ďalej podľa čl. 6.

3. 03

   Povinnosti Sprostredkovateľa

   a) spracúva údaje len na účely podľa čl. 1 a na základe pokynov Prevádzkovateľa, nie na vlastné účely; výnimkou sú anonymné súhrnné štatistiky bez možnosti určenia Hosťa či Prevádzkovateľa a uchovanie údajov, ktoré Sprostredkovateľovi ukladá zákon alebo ktoré potrebuje na určenie či obhajobu právnych nárokov; b) zaistí, že k údajom majú prístup len osoby zaviazané mlčanlivosťou a len v rozsahu nutnom na prevádzku a podporu Aplikácie; prístup správcu Aplikácie k údajom Prevádzkovateľa (režim podpory) sa vykonáva len na podnet Prevádzkovateľa alebo na riešenie prevádzkového problému a zaznamenáva sa v bezpečnostnom audite Sprostredkovateľa (kto, kedy, do ktorého Účtu a na ako dlho); c) prijme technické a organizačné opatrenia podľa čl. 7; d) zapojí ďalšieho sprostredkovateľa len za podmienok čl. 4; e) pomôže Prevádzkovateľovi vybavovať žiadosti dotknutých osôb (prístup, oprava, výmaz, prenosnosť, obmedzenie, námietka) predovšetkým funkciami Aplikácie (vyhľadanie, oprava, export údajov Hosťa, výmaz po uplynutí lehoty). Žiadosť, ktorú Hosť omylom zašle Sprostredkovateľovi, Sprostredkovateľ do 5 pracovných dní odovzdá Prevádzkovateľovi; sám na ňu vecne neodpovedá; f) ohlási Prevádzkovateľovi porušenie ochrany osobných údajov, ktoré sa týka jeho údajov, bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia, s informáciami, ktoré má v tom čase k dispozícii (povaha porušenia, dotknuté údaje, pravdepodobné dôsledky, prijaté opatrenia), a ďalšie doplní priebežne. Ohlásenie dozornému orgánu a Hosťom vykonáva Prevádzkovateľ; g) poskytne Prevádzkovateľovi primeranú súčinnosť pri posúdení vplyvu na ochranu údajov a predchádzajúcej konzultácii s dozorným orgánom, ak bude podľa GDPR potrebná; h) po skončení spracúvania postupuje podľa čl. 6; i) poskytne Prevádzkovateľovi informácie nutné na preukázanie plnenia tejto zmluvy a umožní audit podľa čl. 9; j) vedie záznamy o spracovateľských činnostiach podľa čl. 30 ods. 2 GDPR.

4. 04

   Ďalší sprostredkovatelia

   4.1Prevádzkovateľ udeľuje všeobecné povolenie na zapojenie ďalších sprostredkovateľov. Aktuálny zoznam je na ubyo.cz/zpracovatele; ku dňu účinnosti:

   Ďalší sprostredkovateľ	Sídlo	Činnosť	Umiestnenie údajov
   WEDOS Internet, a.s., IČO 28115708, Masarykova 1230, 373 41 Hluboká nad Vltavou	Česko	webhosting, databáza, zálohy, odosielanie e-mailov	Česko
   WEDOS, a.s., IČO 28115694, Masarykova 1230, 373 41 Hluboká nad Vltavou (WEDOS Global Protection)	Česko	ochranná sieť pred Aplikáciou (filtrovanie útokov, kontrola prevádzky pri prechode, medzipamäť statických súborov); údaje neukladá	EÚ; pri prístupoch mimo EÚ prechod uzlom siete mimo EÚ
   Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA	USA	trezor šifrovaných záloh (R2, Cloudflare ich nedokáže prečítať); overenie „nie som robot“ pri registrácii (Turnstile)	zálohy EÚ; pri Turnstile technické údaje o návštevníkovi v USA (EU-U.S. Data Privacy Framework)

   4.2Zamýšľané zapojenie alebo zmenu ďalšieho sprostredkovateľa oznámi Sprostredkovateľ e-mailom najmenej 14 dní vopred. Prevádzkovateľ môže do účinnosti zmeny vzniesť odôvodnenú písomnú námietku; ak sa strany nedohodnú, môže Prevádzkovateľ Hlavnú zmluvu vypovedať s účinnosťou ku dňu zmeny a Sprostredkovateľ mu vráti pomernú časť nevyužitého predplatného. Ak Prevádzkovateľ námietku nevznesie, platí, že so zmenou súhlasí.

   4.3Sprostredkovateľ uloží ďalšiemu sprostredkovateľovi zmluvne povinnosti zodpovedajúce tejto zmluve a zodpovedá Prevádzkovateľovi za ich plnenie.

   4.4Nie sú ďalšími sprostredkovateľmi: Polícia ČR, obecné úrady a ISDS (samostatní prevádzkovatelia, voči ktorým Prevádzkovateľ plní zákonnú povinnosť); ubytovacie platformy a PMS, ktoré si Prevádzkovateľ sám napojil vlastnými prístupovými údajmi (sú sprostredkovateľmi Prevádzkovateľa, nie Sprostredkovateľa, a Prevádzkovateľ za ich podmienky a správanie zodpovedá); verejné registre (ARES, ADIS) a služba počasia, ktorým sa údaje Hostí neodovzdávajú; sankčné zoznamy, ktoré Aplikácia iba sťahuje a porovnáva lokálne.

   4.5Údaje sa spracúvajú a ukladajú výhradne v Európskej únii. Prenos do tretej krajiny je možný len s primeranými zárukami podľa kapitoly V GDPR a po oznámení podľa čl. 4.2.

5. 05

   Povinnosti Prevádzkovateľa

   5.1Prevádzkovateľ zodpovedá za zákonnosť spracúvania: za existenciu právneho základu, za splnenie informačnej povinnosti voči Hosťom (čl. 13 a 14 GDPR) a prizvaným osobám, za správnosť, minimalizáciu a aktuálnosť údajov a za zákonnosť svojich pokynov. Sprostredkovateľ nezodpovedá za následky pokynu Prevádzkovateľa.

   5.2Prevádzkovateľ vybavuje žiadosti dotknutých osôb a komunikuje s dozorným orgánom sám; Sprostredkovateľ poskytuje súčinnosť podľa čl. 3 písm. e) až g).

   5.3Prevádzkovateľ zaistí, že prizvané osoby (Manažéri, členovia upratovacieho tímu) pracujú s údajmi len v rozsahu svojich oprávnení a sú viazané mlčanlivosťou; za ich konanie zodpovedá ako za svoje.

   5.4Prevádzkovateľ zodpovedá za to, že si pred skončením Hlavnej zmluvy stiahne export podľa čl. 6.3. Ak potrebuje údaje niektorého pobytu uchovať dlhšie ako lehotu podľa čl. 6.1 (najmä pre prebiehajúcu kontrolu alebo konanie), stiahne si ich pred jej uplynutím exportom, alebo písomne požiada o uchovávanie bez časového obmedzenia podľa čl. 6.1.

   5.5Prevádzkovateľ bez zbytočného odkladu oznámi Sprostredkovateľovi skutočnosti, ktoré môžu ohroziť plnenie tejto zmluvy (najmä podozrenie na zneužitie prístupov), a poskytne mu nevyhnutnú súčinnosť.

6. 06

   Doba uchovávania, vrátenie a výmaz

   6.1Údaje Hostí, záznamy o hláseniach a doručenky Aplikácia uchováva 6 rokov od konca pobytu, čo zodpovedá lehote pre evidenčnú knihu (§ 3g ods. 4 českého zákona č. 565/1990 Zb.) a domovú knihu (§ 101 ods. 4 českého zákona č. 326/1999 Zb.). Po uplynutí lehoty Aplikácia údaje automaticky anonymizuje: odstráni meno, dátum narodenia, adresu, čísla dokladov a víz, podpis, kontakt a obsah správ; ponechá len údaje bez väzby na osobu (termín, štátne občianstvo, počet osôb, výška poplatku, výsledok odoslania). Najmenej 30 dní pred anonymizáciou Aplikácia Prevádzkovateľa upozorní e-mailom a ponúkne mu export. Lehotu nemožno v Aplikácii predĺžiť ani skrátiť; na písomnú žiadosť Prevádzkovateľa môže Sprostredkovateľ pri jeho Účte automatickú anonymizáciu vypnúť (uchovávanie bez časového obmedzenia počas trvania Hlavnej zmluvy). Právny dôvod dlhšieho uchovávania a zodpovednosť zaň nesie Prevádzkovateľ.

   6.2Záznamy o prihlásení prizvaných osôb sa mažú 12 mesiacov po prihlásení; správy Hosťom spolu s údajmi Hosťa.

   6.3Po skončení Hlavnej zmluvy má Prevádzkovateľ 30 dní na stiahnutie všetkých údajov v strojovo čitateľnom formáte (JSON/CSV) a v tlačovej podobe (evidenčná kniha, prehľad hlásení s doručenkami). Potom Sprostredkovateľ osobné údaje Prevádzkovateľa nenávratne zmaže z prevádzkovej databázy; zo záloh miznú rotáciou — denné zálohy do 14 dní, mesačná archívna záloha do 3 mesiacov. Zálohy slúžia len na obnovu prevádzky po havárii alebo na obnovu údajov jednotlivého Prevádzkovateľa na jeho písomnú žiadosť (obnovujú sa výhradne údaje tohto Prevádzkovateľa, mimo prevádzkovej databázy, a úkon sa zaznamená); pri obnove prevádzky zo zálohy Sprostredkovateľ zmazané účty znovu zmaže. Výmaz Prevádzkovateľovi potvrdí e-mailom na adresu vlastníka Účtu.

   6.4Zákonná povinnosť uchovávať evidenčnú a domovú knihu trvá aj po skončení Hlavnej zmluvy a plní ju Prevádzkovateľ. Ak si nestiahne export v lehote podľa čl. 6.3, nesie následky sám.

7. 07

   Technické a organizačné opatrenia

   • Šifrovaný prenos (TLS) medzi prehliadačom, Aplikáciou a systémami tretích strán.
   • Heslá uložené len ako odtlačok (bcrypt); prístupové údaje Prevádzkovateľa k UbyPortu, ISDS a platformám šifrované AES-256-GCM kľúčom uloženým mimo webového koreňa servera; správca Aplikácie ich nevidí.
   • Logické oddelenie údajov jednotlivých Prevádzkovateľov vynútené v každom dopyte; portál upratovacieho tímu bez prístupu k údajom Hostí; rola Manažér s obmedzenými oprávneniami.
   • Voliteľné dvojfázové overenie, obmedzenie pokusov o prihlásenie, relácie s časovým limitom, ochrana proti CSRF, bezpečnostné hlavičky, overovanie nahrávaných súborov.
   • Šifrované denné zálohy (14 dní) a mesačný archív (3 mesiace) uložené oddelene od prevádzkovej databázy.
   • Účty správcov Aplikácie: každý správca má vlastný účet s povinným dvojfázovým overením, jeho činnosť je auditovaná a k údajom Hostí pristupuje len v režime podpory podľa čl. 3 písm. b); záznamy o odoslaní s doručenkami.
   • Pravidelné aktualizácie softvéru a bezpečnostné preskúmanie (naposledy september 2026); prístup k správe servera a k role správcu Aplikácie má obmedzený okruh osôb Sprostredkovateľa.

   Sprostredkovateľ môže opatrenia meniť, ak tým nezníži celkovú úroveň zabezpečenia.

8. 08

   Náklady súčinnosti

   Súčinnosť podľa čl. 3 v rozsahu funkcií Aplikácie je zahrnutá v cene. Súčinnosť nad tento rámec (individuálne výpisy, ručné spracovanie žiadostí, konzultácie, súčinnosť pri audite alebo konaní vyvolanom konaním Prevádzkovateľa) poskytne Sprostredkovateľ za hodinovú sadzbu uvedenú v Cenníku, za každú začatú hodinu; rozsah vopred odhadne a Prevádzkovateľ ho potvrdí.

9. 09

   Audit

   Prevádzkovateľ môže najviac raz za 12 mesiacov, alebo po ohlásenom porušení zabezpečenia týkajúcom sa jeho údajov, požiadať o preukázanie plnenia tejto zmluvy. Sprostredkovateľ do 30 dní odpovie písomným opisom opatrení a výpisom záznamov týkajúcich sa Prevádzkovateľa. Audit na mieste je možný len po písomnej dohode termínu najmenej 30 dní vopred, v pracovnom čase, na náklady Prevádzkovateľa, audítorom viazaným mlčanlivosťou a tak, aby neohrozil prevádzku Aplikácie ani údaje iných prevádzkovateľov.

10. 10

    Zodpovednosť

    10.1Každá strana zodpovedá za ujmu spôsobenú porušením svojich povinností podľa GDPR (čl. 82). Vo vzťahu medzi stranami je zodpovednosť Sprostredkovateľa voči Prevádzkovateľovi obmedzená rovnako ako v Hlavnej zmluve (čl. 11 Obchodných podmienok).

    10.2Prevádzkovateľ odškodní Sprostredkovateľa za nároky dotknutých osôb, pokuty a náklady, ktoré Sprostredkovateľovi vzniknú v dôsledku porušenia GDPR alebo tejto zmluvy Prevádzkovateľom, jeho prizvanými osobami alebo v dôsledku nezákonného pokynu Prevádzkovateľa.

11. 11

    Záverečné ustanovenia

    Zmeny tejto zmluvy sa riadia čl. 14.2 Obchodných podmienok. Ak skončí Hlavná zmluva, trvá táto zmluva do výmazu údajov podľa čl. 6. Rozhodné právo: české. Účinnosť od 20. 10. 2026. Verzia 4.

Prevádzkovateľ: Sierra Apartments s.r.o., Františka Diviše 1603/20A, 104 00 Praha, Česko, IČO 21803285 · dátová schránka gw6xygi, info@ubyo.cz.